Npm Malware

🔍 Contexte : Le 22 octobre 2026, Forever Security publie une recherche issue d’une détection en conditions réelles sur la machine d’un client. L’article documente un vecteur d’attaque inédit ciblant les agents IA de codage (OpenAI Codex et Anthropic Claude Code). ⚠️ Mécanisme d’attaque : L’attaque repose sur la combinaison de deux propriétés distinctes : Un site web peut déposer silencieusement un fichier dans ~/Downloads sans clic ni autorisation de l’utilisateur. Les agents IA de codage lisent et exécutent automatiquement les fichiers d’instructions (AGENTS.md, CLAUDE.md) présents dans le dossier où ils sont lancés. En plantant un fichier AGENTS.md malveillant dans ~/Downloads, un attaquant peut ordonner à l’agent de modifier sa propre configuration, d’installer des paquets npm malveillants ou de rediriger son trafic API vers un serveur contrôlé par l’attaquant. ...

Selon kmsec-uk, un suivi continu des dépôts npm a détecté entre le 25 et le 26 février 2026 dix-sept nouveaux paquets malveillants embarquant un chargeur inédit recourant à Pastebin et à une stéganographie textuelle, une évolution attribuée aux tests rapides de FAMOUS CHOLLIMA (DPRK). L’attaque s’appuie sur un script d’installation npm (node ./scripts/test/install.js) qui sert de leurre et exécute un JavaScript malveillant unique placé sous vendor/scrypt-js/version.js. Ce composant contacte trois pastes Pastebin en séquence, dont le premier valide interrompt la boucle. Le contenu des pastes, en apparence bénin mais truffé de fautes subtiles, est décodé via une stéganographie textuelle sur mesure pour produire une liste d’hôtes C2 sur Vercel. ...

Selon Socket (blog de recherche), l’équipe Threat Research a identifié une attaque coordonnée de la chaîne d’approvisionnement via quatre paquets npm se faisant passer pour des utilitaires crypto et Flashbots, visant les développeurs Web3, les chercheurs MEV et les opérateurs DeFi, avec un risque de pertes financières immédiates et irréversibles. — Détails clés — Type d’attaque : supply chain sur l’écosystème npm avec usurpation d’outils légitimes (crypto/Flashbots). Cible : développeurs Web3, MEV searchers, opérateurs DeFi. Impact : vol d’identifiants et de clés privées de portefeuilles, exfiltrés vers une infrastructure Telegram contrôlée par l’attaquant. — Vecteurs et techniques — ...